feat: namespace-per-user via JWT sub SHA256 + ensureNamespace in operator

- operator: ensureNamespace() создаёт k8s namespace при первом Create-запросе
- operator: defaultNamespace константа вместо хардкода 'default'
- provider: SubFromJWT декодирует JWT payload, извлекает sub
- provider: NamespaceFromSub вычисляет sless-{sha256[:8]} из sub
- provider: PingNubesAPI валидирует токен запросом к nubes API
- provider: Configure вычисляет namespace и создаёт Client с ним
- provider: новый атрибут nubes_endpoint (опционально, env: NUBES_ENDPOINT)

internal/api/handler/jobs.go

@@ -64,6 +64,11 @@ func jobToResponse(j *slessv1alpha1.FunctionJob) jobResponse {
 // Создаёт FunctionJob CR. Оператор запустит k8s Job асинхронно.
 func (h *Handler) CreateJob(w http.ResponseWriter, r *http.Request) {
 	ns := namespace(r)
+	// Гарантируем существование namespace — аналогично CreateFunction.
+	if err := h.ensureNamespace(r.Context(), ns); err != nil {
+		writeJSON(w, http.StatusInternalServerError, errResp("ensure namespace: "+err.Error()))
+		return
+	}
 
 	var req jobRequest
 	if err := json.NewDecoder(r.Body).Decode(&req); err != nil {